ssh - 부분 비밀번호로 로그인할 수 있는 이유는 무엇입니까? [복사]

Question 1

채팅에서 시스템이 기존(섀도우가 아닌) 비밀번호 저장소와 기존 Unix 비밀번호 해싱 알고리즘을 사용하는 것으로 나타났습니다. 둘 다 오늘날의 보안 환경에서는 좋지 않은 선택입니다.

기존 비밀번호 해싱 알고리즘은 비밀번호의 처음 8자만 저장하고 비교하므로 이는 원래 질문에 언급된 동작을 설명합니다.

게시된 sshd 출력에는 다음 줄이 포함됩니다.

Could not get shadow information for user

나는 이것이 적어도 sshd(또는 아마도 PAM Unix 비밀번호 저장소) 섀도우 비밀번호 기능이 이 시스템에 포함되어 있음을 의미한다고 생각하지만 어떤 이유로 시스템 공급업체가 이를 사용하지 않기로 결정했습니다.

Answer

채팅에서 시스템이 기존(섀도우가 아닌) 비밀번호 저장소와 기존 Unix 비밀번호 해싱 알고리즘을 사용하는 것으로 나타났습니다. 둘 다 오늘날의 보안 환경에서는 좋지 않은 선택입니다.

기존 비밀번호 해싱 알고리즘은 비밀번호의 처음 8자만 저장하고 비교하므로 이는 원래 질문에 언급된 동작을 설명합니다.

게시된 sshd 출력에는 다음 줄이 포함됩니다.

Could not get shadow information for user

나는 이것이 적어도 sshd(또는 아마도 PAM Unix 비밀번호 저장소) 섀도우 비밀번호 기능이 이 시스템에 포함되어 있음을 의미한다고 생각하지만 어떤 이유로 시스템 공급업체가 이를 사용하지 않기로 결정했습니다.

Question 2

BusyBox 기반 배포판(보통 Yocto로 구축된 배포판)에서는 BusyBox 구성에서 적절한 옵션을 활성화하여 이 문제를 해결할 수 있습니다. 이 솔루션은 사용자가 이에 익숙해지고 자신만의 조정된 운영 체제 이미지 또는 최소한 적합한 BusyBox 바이너리를 구축할 수 있다고 가정합니다. 또한 (libc에서) 고급 암호화 해싱 알고리즘(최소 SHA-256, 더 나은 SHA-512)이 필요합니다.

BusyBox 구성에서 다음을 설정합니다.

로그인/비밀번호 관리 유틸리티
- 섀도우 비밀번호 지원→ 활성화됨
- 내부 암호화 기능 사용→ 비활성화
- 기본 비밀번호 암호화 방법→ sha512또는sha256

추가 콘텐츠/etc/passwd그리고/etc/shadowpasswd향상된 BusyBox 내장 명령줄 도구( , mkpasswd, chpasswd)를 사용하거나 이미지 빌드 중에 설정하는 등 의 조정이 이루어져야 합니다.EXTRA_USERS_PARAMS:

EXTRA_USERS_PARAMS = " \
    usermod -p '\$6\$<salt>\$<encrypted_pwd>' root; \
    useradd -m -s /bin/sh -G … -u … -p '…' <username>; \
    "

Answer

BusyBox 기반 배포판(보통 Yocto로 구축된 배포판)에서는 BusyBox 구성에서 적절한 옵션을 활성화하여 이 문제를 해결할 수 있습니다. 이 솔루션은 사용자가 이에 익숙해지고 자신만의 조정된 운영 체제 이미지 또는 최소한 적합한 BusyBox 바이너리를 구축할 수 있다고 가정합니다. 또한 (libc에서) 고급 암호화 해싱 알고리즘(최소 SHA-256, 더 나은 SHA-512)이 필요합니다.

BusyBox 구성에서 다음을 설정합니다.

로그인/비밀번호 관리 유틸리티
- 섀도우 비밀번호 지원→ 활성화됨
- 내부 암호화 기능 사용→ 비활성화
- 기본 비밀번호 암호화 방법→ sha512또는sha256

추가 콘텐츠/etc/passwd그리고/etc/shadowpasswd향상된 BusyBox 내장 명령줄 도구( , mkpasswd, chpasswd)를 사용하거나 이미지 빌드 중에 설정하는 등 의 조정이 이루어져야 합니다.EXTRA_USERS_PARAMS:

EXTRA_USERS_PARAMS = " \
    usermod -p '\$6\$<salt>\$<encrypted_pwd>' root; \
    useradd -m -s /bin/sh -G … -u … -p '…' <username>; \
    "

Question 3

파일 이 있더라도 /etc/shadow파일의 각 비밀번호가 다른 해싱 체계를 사용할 가능성은 여전히 있습니다.

지난 몇 년 동안 기본 체계는 SHA-2의 다양한 반복을 사용하는 것이었지만 얼마 전까지만 해도 우리는 암호 문자에 포함될 수 있는 문자에 제한을 가하는 전통적인 DES 기반 체계를 사용했습니다. 제한되어 있습니다. 비밀번호 처리 시 비밀번호의 처음 8자만 포함됩니다. 따라서 비밀번호는 30자까지 입력할 수 있지만 비밀번호 확인에는 처음 8자만 사용됩니다.

시스템을 업그레이드했더라도 이전 구성표를 사용할 수 있을 만큼 비밀번호가 충분히 길게 설정되어 있으면 사용자가 비밀번호를 변경할 때까지 이전 구성표를 계속 사용합니다. 비밀번호를 모르면 비밀번호 해시를 새로운 체계로 변환하는 것이 불가능합니다. 이는 사용 가능한 최신 비밀번호 해싱 체계를 활용하기 위해 수시로 자신의 비밀번호를 변경하는 또 다른 좋은 이유입니다.

Linux 및 기타 Unix 시스템의 비밀번호 해싱 체계에 대한 기사는 여기에서 찾을 수 있습니다.

https://en.wikipedia.org/wiki/Crypt_(C)

각 사용자의 비밀번호가 어떤 체계를 사용하는지 확인하려면 /etc/shadow비밀번호 필드를 확인하세요.

최신 SHA-2 기반 비밀번호 해시는 "$5" 또는 "$6"으로 시작하고 더 깁니다.
이전 DES 기반 비밀번호 해시는 달러 기호로 시작하지 않았고 더 짧았습니다.
MD5 기반 해시는 Linux에서도 사용할 수 있으며 "$1"로 시작하고 그 사이의 길이를 갖습니다.

Crypt 기사에 나열된 다른 옵션은 일반적으로 Linux 배포판에서 사용되지 않습니다.

Answer